Le robot quadrupède Unitree Go2, utilisé dans la recherche et les démonstrations publiques, fait l'objet d'une faille de sécurité classée critique. Identifiée sous le numéro CVE‑2026‑115995, elle touche les versions de micrologiciel 1.1.11.0 à 1.1.11.4 et permet à un attaquant d’injecter des commandes système via le module vocal "chat_go". La faille a été rendue publique le 24 octobre dans la base américaine NVD et obtient un score CVSS 3.1 de 9,6 ainsi qu’un score CVSS 4.0 de 9,4, ce qui confirme son niveau critique.
Une porte d’entrée inattendue
Le problème se situe dans la fonction set_volume du fichier gpt_thread.py. Cette fonction, destinée à régler le volume du dialogue, accepte une valeur qui, lorsqu’elle est spécialement manipulée, est interprétée comme une commande du système d’exploitation. Aucun privilège préalable n’est requis : l’attaque peut être déclenchée à distance. Le barème CVSS 3.1 retient toutefois la nécessité d’une interaction utilisateur, par exemple le fait d’ajuster le volume via l’interface.
Conséquences potentielles
L’exécution de commandes sur l’ordinateur embarqué dépasse largement un simple dysfonctionnement sonore. La fiche d’avertissement indique un impact élevé sur la confidentialité, l’intégrité et la disponibilité du robot. Aucun cas d’exploitation active n’est répertorié, ni de prise de contrôle physique précise. Ainsi, le risque logiciel est avéré, mais les scénarios où le robot se déplacerait ou réaliserait des actions mécaniques ne sont pas confirmés.
Le correctif officiel
Unitree a publié le micrologiciel 1.1.11.5, qui corrige la vulnérabilité et est marqué comme non affecté. Le paquet de mise à jour est disponible sur l’infrastructure officielle de la marque. Les propriétaires de Go2 doivent vérifier la version installée et appliquer la mise à jour dès que possible, les versions antérieures restant vulnérables.
Mesures d’atténuation en attendant
En attendant le déploiement du correctif, il est recommandé de limiter le robot à un réseau de confiance. Cette précaution réduit l’exposition aux attaques sans remplacer le besoin du correctif. Les déploiements en laboratoire, en enseignement ou lors de démonstrations publiques, où plusieurs opérateurs peuvent accéder au même réseau, doivent être particulièrement vigilants.
Leçons pour les intégrateurs
Cette faille illustre la surface d’attaque croissante des robots connectés. Un quadrupède moderne regroupe capteurs, actionneurs, modules audio, applications mobiles et traitements d’Intelligence artificielleEnsemble de techniques permettant à des machines d'accomplir des tâches nécessitant habituellement certaines capacités humaines, comme la reconnaissance, la prédiction ou la prise de décision.. Un composant périphérique, comme le réglage du volume, peut devenir un point d’entrée vers le cœur du système. Les intégrateurs doivent donc inclure l’inventaire des micrologiciels, les procédures de mise à jour régulières et la segmentation du réseau dans leurs processus de déploiement.
Vers une sûreté robotique intégrée
La cybersécurité ne protège plus uniquement les données ; elle participe désormais à la maîtrise d’une machine capable d’interagir physiquement avec son environnement. En traitant la sécurité informatique comme une composante de la sûreté robotique, les équipes peuvent anticiper des vulnérabilités similaires et limiter les risques avant qu’ils ne compromettent le fonctionnement du robot.
En résumé, la mise à jour vers le micrologiciel 1.1.11.5 constitue la première étape indispensable pour sécuriser les Unitree Go2, tandis que la segmentation réseau et la surveillance continue restent essentielles pour prévenir d’autres incidents.